Prompt injection : un essaim d'agents IA fait tomber les défenses des meilleurs modèles

On commençait à croire le problème presque réglé. Depuis le milieu de 2025, les attaques classiques par injection de prompt, ces instructions malveillantes glissées dans les données qu'un agent IA consulte, butaient sur les défenses des meilleurs modèles. Une étude de Google DeepMind, publiée le 9 novembre sur arXiv, balaie cet optimisme : donnez à l'attaquant non plus une IA unique, mais un essaim coordonné, et les protections des modèles les plus robustes s'effondrent.

L'idée : attaquer en meute, pas en solo

L'article, sobrement intitulé Scaling Adaptive Prompt Injection Attacks with Agent Swarms, est signé par une équipe de douze chercheurs de Google DeepMind, menée par Alexey Kurakin, spécialiste reconnu de l'apprentissage automatique adversarial. Leur constat de départ : les benchmarks publics d'injection de prompt arrivent à saturation, et le red-teaming humain plafonne, surtout sur la famille Gemini. Faut-il en conclure que la menace est derrière nous ? Non, répondent-ils : elle n'attendait que des attaquants plus forts.

Leur arme s'appelle Agentic Optimizer. Plutôt qu'un seul modèle qui propose des charges d'attaque une par une, un essaim de 16 agents attaquants, organisés en huit équipes de deux, explore en parallèle les façons de piéger l'agent cible. Les équipes reçoivent chacune une stratégie d'optimisation différente, tirée d'une base de stratégies qui ont déjà fonctionné, et s'échangent leurs trouvailles : notes sur un tableau blanc partagé, classements des meilleurs candidats par équipe et au global. Le tout avec un budget limité à 320 appels au modèle défenseur.

Second ingrédient, plus subtil : un nouveau jeu de données de 100 scénarios d'usage d'outils, où l'objectif de l'attaque n'est pas une action franchement malveillante, mais un appel d'outil banal et sans rapport avec la demande de l'utilisateur. C'est une astuce méthodologique : elle permet de mesurer si le modèle respecte la hiérarchie des instructions, sans que sa culture générale en sécurité ne vienne fausser le résultat. Un modèle peut refuser une action dangereuse parce qu'il la sait dangereuse, tout en restant incapable de distinguer une instruction légitime d'une instruction injectée.

Les chiffres : personne ne tient

Face à l'attaquant le plus puissant testé (Gemini 4 Argon), aucun défenseur n'est pleinement robuste. Le meilleur, Gemini 4 Argon lui-même, ne résiste qu'à 66 % des attaques à budget maximal, et 87 % quand on limite l'attaquant à 150 requêtes. Les modèles open weights s'effondrent : Kimi K3 ne résiste qu'à 5 % des attaques, GLM-5.3 et DeepSeek-V4.1-Flash à 1 %, alors même qu'ils affichent d'excellents scores sur les benchmarks de capacités classiques.

Le résultat le plus instructif concerne la force de l'attaquant. À défenseur identique, la résistance s'écroule quand l'attaquant monte en gamme : Gemini 3.7 Flash en défense résiste à 79 % des attaques du plus faible attaquant testé, contre 31 % face au plus fort. Autrement dit, plus les modèles progressent, plus ils deviennent d'habiles coordinateurs d'attaques en essaim, et les chercheurs notent une corrélation entre le talent d'attaquant d'un modèle et ses performances sur ExploitBench, un benchmark offensif de cybersécurité. L'arme et l'armure progressent ensemble, mais l'arme profite directement de chaque génération.

Comparé aux attaques adaptatives existantes, l'essaim fait mieux : sur 80 scénarios du benchmark de référence AgentDojo, l'attaque mini-goat du framework Prompt Siren ne perce que deux défenses ; l'optimiseur en essaim en perce six, avec un budget modeste de 25 requêtes. Détail pratique pour les développeurs : laisser la chaîne de pensée du modèle visible rend l'attaque encore plus facile.

Ce que l'étude ne prouve pas

Restons précis. Il s'agit d'un rapport technique, non relu par les pairs, écrit par DeepMind en évaluant surtout... des modèles DeepMind, avec leurs défenses externes désactivées (classifieurs de sécurité et protections hors-modèle coupées pour l'expérience). Les objectifs d'attaque sont synthétiques et volontairement inoffensifs : faire appeler un outil bénin n'est pas exfiltrer des données, même si les auteurs rappellent qu'une action réellement dangereuse peut se décomposer en étapes d'apparence anodine. Et l'évaluation se joue sur un seul tour de réponse, pas sur des conversations complètes.

Surtout, l'étude mesure une capacité d'attaque en laboratoire, pas une épidémie dans la nature : elle ne dit rien du nombre d'agents réellement compromis aujourd'hui. Son message est en fait destiné aux défenseurs : le red-teaming doit devenir automatique et continu, parce que l'attaquant le plus dangereux de demain sera le modèle le plus capable de demain.

Le mot de la fin

Le signal est clair : la course attaque-défense sur l'injection de prompt n'est pas terminée, elle change d'échelle. Quand 16 agents bon marché suffisent à faire tomber les modèles les mieux défendus du marché, la sécurité d'un agent ne peut plus reposer sur le seul durcissement du modèle. La conclusion des chercheurs vaut doctrine pour quiconque déploie des agents : défense en profondeur, permissions minimales, et red-teaming automatisé en continu. Le hype serait d'y voir l'apocalypse des agents : les attaques mesurées ici restent des exercices de laboratoire, sur des cibles aux défenses partiellement désactivées. Mais ignorer ce travail serait exactement l'erreur que les attaquants réels attendent de nous.